El cumplimiento normativo se construye, no se compra
La mayoría de las organizaciones descubren el cumplimiento normativo por las malas: como un incendio que hay que apagar cuando un distribuidor, un mercado en línea o una autoridad pide pruebas. Comprar una herramienta no lo resuelve; el cumplimiento solo se vuelve duradero cuando se integra en cómo la empresa decide, dota de personal, estructura sus datos y opera en el día a día. Este documento es un manual práctico para hacer exactamente eso.
Sigue el arco de implantación que comparten los programas que funcionan —desde la decisión de la dirección, pasando por el caso de negocio, las personas y los datos, hasta las operaciones— y se apoya en las normas reconocidas del sector: el modelo de sistema de gestión del cumplimiento normativo de la ISO 37301 y el Modelo de las Tres Líneas del IIA para la gobernanza. A lo largo del texto encontrará modelos para copiar y plantillas para rellenar.
Modelos y plantillas de este documento
- Modelos: el arco de implantación · el modelo de gobernanza de las Tres Líneas · el modelo de datos de cumplimiento · el ciclo de cumplimiento continuo (PDCA) · un modelo de madurez · una matriz de priorización.
- Plantillas: política de cumplimiento normativo · caso de negocio · matriz RACI · campos de datos de producto · solicitud de cumplimiento al proveedor · hoja de ruta de implantación · cuadro de mando de KPI · registro de cumplimiento.
El arco de implantación
Los programas de cumplimiento que perduran atraviesan cinco etapas conectadas. Si se salta una, las demás se tambalean: una herramienta sin mandato se ignora; un mandato sin datos no tiene sobre qué actuar; los datos sin un ritmo operativo se quedan obsoletos.
El arco de implantación: cinco etapas conectadas, desde el mandato de la dirección hasta las operaciones diarias.
El resto de este documento aborda cada etapa por turno. Una aclaración terminológica: utilizamos sistema de gestión del cumplimiento normativo (CMS) en el sentido de la ISO 37301 —el conjunto de políticas, funciones, datos y procesos con los que una organización cumple sus obligaciones—, no como un programa informático concreto.
Etapa 1 — La decisión de la dirección
El cumplimiento normativo empieza arriba o no empieza. La ISO 37301 sitúa el liderazgo, la gobernanza y la cultura en el centro del sistema de gestión por una razón: sin un mandato claro, un apetito de riesgo declarado y un patrocinio visible, el trabajo de cumplimiento es siempre la tarea que pierde frente al siguiente plazo.
Qué debe decidir la dirección
- Un mandato y un patrocinador. Designe a un directivo responsable del cumplimiento normativo y dote al programa de autoridad y presupuesto explícitos.
- Apetito de riesgo. Declare con claridad cuánto riesgo de incumplimiento tolerará la empresa, por mercado, canal y categoría de producto.
- Una política de cumplimiento normativo. Una declaración breve, aprobada por el consejo, de compromiso, alcance, funciones e información: la constitución de la que cuelga todo lo demás.
El modelo de gobernanza
Utilice el Modelo de las Tres Líneas del IIA para asignar quién hace qué. La primera línea (producto, aprovisionamiento y operaciones) es titular del cumplimiento y lo gestiona en el trabajo diario. La segunda línea (una función de cumplimiento normativo o calidad) establece la política, los marcos y el seguimiento. La tercera línea (auditoría interna) aporta un aseguramiento independiente. El órgano de gobierno se sitúa por encima de las tres y rinde cuentas ante las partes interesadas; los organismos externos —reguladores, distribuidores y organismos notificados— quedan fuera.
Plantilla — Política de cumplimiento normativo (una página). Finalidad: por qué la organización se compromete con el cumplimiento normativo de producto. Alcance: qué productos, marcas, mercados y canales cubre la política. Compromiso: una declaración de que la organización cumplirá todos los requisitos de producto de la UE aplicables y actuará ante los incumplimientos. Funciones y responsabilidades: patrocinador, titular del cumplimiento, obligaciones de la primera, segunda y tercera línea (véase la RACI). Apetito de riesgo: el nivel de riesgo tolerado, por categoría y mercado. Información y escalado: cómo se plantean los problemas, a quién y con qué rapidez. Revisión: periodicidad de la revisión (p. ej., anual) y eventos desencadenantes. Aprobación: aprobada por [órgano de gobierno] el [fecha]; titular [nombre].
Etapa 2 — La decisión de negocio
Con el mandato en su sitio, el cumplimiento normativo se convierte en un caso de negocio como cualquier otro: delimítelo, priorícelo, elija cómo dotarlo de recursos y defina qué significa el éxito.
Priorice donde importa
No puede hacerlo todo a la vez. Ordene productos y mercados por exposición —combinando el riesgo normativo o de recuperación con los ingresos en juego— y empiece por donde ambos sean altos.
| Ingresos altos | Ingresos menores | |
|---|---|---|
| Riesgo alto | Priorizar primero: es donde más hay que perder. Validar y documentar ahora. | Programar a continuación: riesgo relevante, proteger de forma proactiva. |
| Riesgo menor | Victorias rápidas: cobertura fácil, progreso visible. | Supervisar: automatizar y revisar periódicamente. |
Construir, comprar o externalizar
Tres modelos de recursos, normalmente combinados: construir una función interna (control, pero contratación lenta y costosa); comprar una plataforma que automatice la clasificación, la validación y la documentación (rápido, escalable); o externalizar a un servicio gestionado (capacidad sin plantilla). La mayoría de las marcas compran la plataforma y añaden soporte gestionado allí donde hace falta criterio.
| Campo (caso de negocio de cumplimiento normativo) | Qué recoger |
|---|---|
| Objetivo | El resultado (p. ej., listo para la distribución en los 3 mercados principales en 90 días). |
| Alcance | Productos, marcas, mercados y canales cubiertos en primer lugar. |
| Opciones consideradas | Construir internamente · comprar una plataforma · externalizar (servicio gestionado). |
| Opción recomendada | La elección y por qué. |
| Presupuesto | Coste puntual y recurrente (capex / opex). |
| Beneficios esperados | Altas más rápidas, menos retiradas de catálogo y recuperaciones, prima de confianza. |
| Métricas de éxito | Véase el cuadro de mando de KPI. |
| Riesgos e hipótesis | Riesgos clave y cómo se mitigan. |
| Decisión y titular | Aprobado por [nombre] el [fecha]. |
Etapa 3 — Personas y responsabilidades
El cumplimiento normativo falla en silencio cuando todos dan por hecho que otro es el responsable. Haga explícita la titularidad, dote a las personas de las competencias necesarias y construya una cultura en la que plantear un problema se premie, no se castigue.
Asigne la titularidad con una matriz RACI
Una matriz RACI asocia cada actividad a quién es Responsable (ejecuta), quién rinde cuentas (Accountable), a quién se Consulta y a quién se Informa. Adapte la plantilla siguiente a su estructura; lo importante es que cada fila tenga exactamente un A.
| Actividad | Patrocinador | Cumplimiento | Equipo de producto | Auditoría |
|---|---|---|---|---|
| Establecer la política y el apetito de riesgo | A | R | I | I |
| Clasificar productos frente a las normas | I | A | R | — |
| Validar frente a los requisitos | I | A | R | — |
| Subsanar las carencias | I | C | R | — |
| Generar la documentación | I | A | R | — |
| Designar a la persona responsable | A | R | C | I |
| Vigilar los cambios normativos | I | A | C | I |
| Aseguramiento independiente | I | I | I | A/R |
R = Responsable (ejecuta) · A = rinde cuentas · C = Consultado · I = Informado. Si carece de capacidad interna, una plataforma o un servicio gestionado puede asumir el papel R mientras su equipo conserva el A.
Competencias y cultura
- Forme a los equipos de producto y aprovisionamiento en lo básico: qué es una declaración de conformidad, qué hace una persona responsable, qué activa un reglamento.
- Haga visible el estado de conformidad en las herramientas que la gente ya utiliza, para que forme parte del flujo de trabajo y no sea una tarea aparte.
- Premie la detección temprana de carencias. Una cultura que oculta los problemas es el mayor riesgo para cualquier sistema de cumplimiento.
Etapa 4 — Datos y sistemas
En el fondo, el cumplimiento normativo es un problema de datos. No se puede demostrar lo que no se puede describir. La base es una fuente única de verdad que conecte cada producto con los mercados en los que se vende, las normas que le aplican, los requisitos que lo demuestran y las pruebas que hay detrás.
El modelo de datos de cumplimiento: un producto vinculado a sus mercados, normas, requisitos, pruebas, proveedor y persona responsable.
Cuide los datos de producto
La clasificación es donde se atascan la mayoría de los programas. Recoja un conjunto coherente de campos por producto para que el sistema pueda asociar cada SKU a los reglamentos y normas armonizadas que le aplican.
| Campo de datos de producto | Ejemplo / nota |
|---|---|
| ID de producto / SKU | Identificador interno |
| Nombre del modelo y GTIN/EAN | Para trazabilidad y etiquetado |
| Categoría y código TARIC | Determina qué normas aplican |
| Mercados de destino | Cuáles de los 27 países de la UE |
| Componentes y materiales | Lista de materiales |
| Sustancias | Para el cribado REACH / RoHS |
| Proveedor | Origen de las pruebas aguas arriba |
| Persona responsable | Operador económico de la UE |
| Reglamentos aplicables | Asociados automáticamente (GPSR, REACH, …) |
| Estado y pruebas | % completado; enlaces a la declaración de conformidad y los ensayos |
Envíe una solicitud de cumplimiento al proveedor en el momento del alta; prefiera los documentos verificados por terceros a las autodeclaraciones.
| Elemento que solicitar al proveedor | ¿Obligatorio? |
|---|---|
| Declaración de conformidad | Sí |
| Informes de ensayo (laboratorio acreditado) | Sí, según el riesgo |
| Declaraciones de materiales (REACH/RoHS) | Sí |
| Lista de materiales | Sí |
| Conformidad con normas armonizadas | Sí |
| País de origen / datos EUDR | Si procede |
| Datos de la persona responsable | Sí |
| Diseño del etiquetado y marcado | Sí |
Etapa 5 — Operaciones y cumplimiento continuo
El cumplimiento normativo no es un proyecto que termina; es un ritmo operativo. La ISO 37301 se basa en el ciclo Planificar-Hacer-Verificar-Actuar, y un programa que funciona ejecuta ese mismo ciclo de forma continua para cada producto.
El ciclo de cumplimiento continuo: de la entrada al seguimiento, alineado con el Planificar-Hacer-Verificar-Actuar de la ISO 37301.
Ejecute el ciclo
- Entrada y clasificación. Cada producto nuevo o modificado entra en el sistema y se asocia a las normas aplicables.
- Validación y subsanación. Compruebe frente a los requisitos, vea las carencias y ciérrelas.
- Documentación. Genere la declaración de conformidad, la documentación técnica y un estado de conformidad compartible, listo antes de que lo pida un distribuidor.
- Seguimiento. Vigile los cambios normativos y revalide automáticamente, para que un nuevo requisito sea una alerta y no una emergencia.
Mantenga un registro de cumplimiento vivo para que el estado sea auditable en cualquier momento.
| Producto | Mercado | Reglamento | Estado | Titular |
|---|---|---|---|---|
| Lámpara de escritorio (SKU-1042) | DE | LVD / RoHS / GPSR | Conforme | Producto |
| Luz nocturna (SKU-3391) | FR | GPSR / EN 71 | Carencia: etiquetado | Producto |
Prepárese para el mal día
Operar también significa estar preparado: un proceso definido para una recuperación o una alerta del Safety Gate, con la persona responsable, la documentación y los pasos de las medidas correctoras ya establecidos. Las marcas que sobreviven a un incidente son las que se prepararon antes de que ocurriera. (Véase el documento complementario Cómo gestionar las recuperaciones de productos en la UE.)
Sepa en qué punto está
Antes de planificar, sitúese. El salto que más importa es el que va de Conforme a Listo para la distribución: el punto en el que el cumplimiento normativo deja de ser un cuello de botella y se convierte en una herramienta de ventas.
| Nivel | Cómo se ve | Resultado |
|---|---|---|
| 1 · Reactivo | Se gestiona crisis a crisis; hojas de cálculo y llamadas de última hora. | Altas bloqueadas, costes imprevistos, exposición. |
| 2 · Conforme | Los productos cumplen las normas, pero la prueba es manual y lenta. | Supera las auditorías; el cumplimiento es un cuello de botella. |
| 3 · Listo para la distribución | Documentación completa y actualizada por producto y mercado. | Altas más rápidas, menos bloqueos, reputación fiable. |
| 4 · Con ventaja | Continuo, basado en datos; la transparencia se utiliza en marketing. | Rapidez hasta el lineal, prima de confianza, pionero ante las nuevas normas. |
La hoja de ruta
Una secuencia pragmática lleva a una marca de reactiva a lista para la distribución en aproximadamente un trimestre, y de ahí a la mejora continua. Adapte los plazos a su tamaño y a su catálogo.
| Fase | Plazo | Enfoque | Resultado |
|---|---|---|---|
| 0 · Movilizar | Semanas 0–2 | Mandato, patrocinador, política, alcance, apetito de riesgo. | Política aprobada; titular designado. |
| 1 · Cimientos | Semanas 2–6 | Modelo de datos, importación de productos, RACI, solicitudes a proveedores. | Fuente única de verdad; funciones definidas. |
| 2 · Poner en marcha | Semanas 6–12 | Validar los productos prioritarios, cerrar carencias, generar documentación. | Catálogo prioritario listo para la distribución. |
| 3 · Optimizar | Continuo | Vigilar cambios, auditar, ampliar la cobertura, usarlo en ventas. | Cumplimiento continuo; KPI en seguimiento. |
Cómo medir el éxito
Lo que se mide, se hace. Haga seguimiento de un conjunto reducido de KPI que vinculen el cumplimiento normativo con el negocio.
| KPI | Definición | Objetivo |
|---|---|---|
| Cobertura | Proporción del catálogo validada frente a las normas aplicables. | 100 % → |
| Tiempo hasta la documentación | Días medios para producir un expediente listo para la distribución. | < 2 días |
| Carencias abiertas | Número de carencias de requisitos sin resolver. | Tendencia a 0 |
| Tasa de auditorías superadas | Proporción de productos que superan la auditoría interna o externa. | > 95 % |
| Rapidez hasta el lineal | Días medios desde la solicitud del comprador hasta estar listo para el alta. | A la baja |
| Cambios gestionados | Cambios normativos evaluados dentro del SLA. | 100 % |
Errores y factores de éxito
Evite
- Comprar una herramienta sin mandato, titular ni ritmo operativo detrás.
- Intentar cubrir todo el catálogo a la vez en lugar de priorizar por riesgo e ingresos.
- Tratar la documentación como algo puntual y no como un registro vivo y supervisado.
Haga
- Empiece por arriba, delimite bien el alcance y muestre pronto un éxito de producto listo para la distribución.
- Haga que una sola persona rinda cuentas de cada actividad y haga visible el estado.
- Automatice el trabajo repetitivo para que las personas dediquen su tiempo al criterio, no a la administración.
De la obligación a la capacidad
Implantar una estrategia de cumplimiento normativo es un cambio operativo, no una compra. Decídalo en la dirección, elabore el caso de negocio, asigne una titularidad clara, construya la base de datos y ejecute el ciclo. Hágalo, y el cumplimiento dejará de ser lo que le frena para convertirse en lo que le lleva al lineal, le mantiene en él y convierte cada nuevo reglamento en una función que ya tiene.
Cómo ayuda Conphora
Conphora es la plataforma y el servicio gestionado que hay detrás de este manual. Le ofrece el modelo de datos de cumplimiento listo para usar, valida su catálogo frente a 49 reglamentos de la UE en 27 países, ejecuta el ciclo de cumplimiento continuo y genera la documentación y el estado compartible que exigen los distribuidores. Úselo en autoservicio o deje que nuestro equipo lo opere por usted. Más información en conphora.com.
Fuentes y referencias
- ISO 37301:2021 — Sistemas de gestión del cumplimiento normativo: requisitos con orientación para su uso (PDCA; sustituye a la ISO 19600:2014).
- The Institute of Internal Auditors — El Modelo de las Tres Líneas (actualización de 2020 de las Tres Líneas de Defensa).
- Reglamento (UE) 2023/988 — Reglamento relativo a la seguridad general de los productos (GPSR). EUR-Lex.
- Reglamento (UE) 2024/1781 — Reglamento sobre diseño ecológico para productos sostenibles (ESPR) y pasaporte digital de producto. EUR-Lex.
- Comisión Europea — Sistema de alerta rápida Safety Gate (informe anual).
Este documento ofrece información de carácter general y no constituye asesoramiento jurídico. Los marcos se presentan de forma resumida; consulte las normas y los reglamentos originales antes de la implantación. © 2026 Conphora.